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Die folgenden Angaben smd den vom Anmelder efngereichten Unterlagen entnommen 

Priifungsantrag gem. § 44 PatG ist gestellt 
(g) Vorrichtung, System und Verfahren zum Bedienen e 

@ Eine Vorrichtung zum Bedienen eines Gerates weist ei- 
nen Server, ein zentrales Uberwachungsmodul, Mittel zur 
Kommunikation zwischen dem Server und dem Uberwa- 
chungsmodul, mehrere Steuer-, Wartungs- und/oder 
Uberwachungsprogramme und Mittel zur Kommunikati- 
on zwischen den Steuer-, Wartungs- und/oder Uberwa- 
chungsprogrammen einerseits sowie dem Server und/ 
Oder dem Uberwachungsmodul andererselts auf. An die 
Vorrichtung ist ein Browser anschlielSbar, wodurch sich 
ein System zum Bedienen des Gerates ergibt. Durch die 
Erfindung laJSt sich eine Benutzeroberflache mit sicher- 
heitsrelevanten oder interaktiven Funktionen flexibel und 
mit geringem Programmieraufwand realisieren. 
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Beschreibung 

Die Erfindung betrifft eine Vorrichtung, ein System und 
ein Verfahren zum Bedienen eines Cerates, insbesondere ei- 
nes komplexen medizinischen Cerates wie beispielsweise 5 
eines Tomograph ieg era tes oder eines Angiographiegerates. 
Der Begriff "Bedienen" ist im weitesten Sinne zu verstehen 
und umfaBt insbesondere das Steiiem, Einstellen, Warten, . 
Anpassen und/oder Uberwachen des Cerates. 

Komplexe Cerate wie die oben genannten bediirfen der 10 
regelmaBigen Warlung. Dazu sind bisher spezielle Pro- 
gramme eingesetzt worden, die es im Dialog mit dem War- 
tungsingenieur ermoglichen, Messungen durchzufiihren, in- 
terne Parameter einzustellen oder andere Funktionen auszu- 
fiihren. 15 

Solche speziell programmierte Wartungsanwendungen 
sind jedoch wenig flexibel, wenn die Benutzeroberflache 
neu gestaket oder eine andere Rechnerplattform eingesetzt 
werden soil. Zur Fernwartung des Cerates muB mit hohem 
Aufwand eine Anzeigenumleitung eingerichtet werden. 20 

Es ist bereits allgemein vorgeschlagen worden, Benutzer- 
oberflachen als HTML-Dokumente (HTML = Hypertext 
Markup Language; Textauszeichnungssprache mit Querver- 
weis-Funktionen) zu realisieren. Diese Dokumente werden 
von einem bekannten WWW-Server (WWW = World Wide 25 
Web) bereitgestellt, in einen bekannten WWW-Browser ge- 
laden und von diesem angezeigt. 

Diese Art der Implementierung einer Benutzeroberflache 
ist jedoch bisher nur fiir einfache und unkritische Steuerauf- 
gaben eingesetzt worden. Sicherheitsrelevante oder interak- 30 
live Funktionen, wie sie zur Wartung komplexer Systeme 
unabdingbar sind, konnten nicht-oder nur unzureichend ver- 
wirklicht werden. Wichtige Aspekte sind dabei ein zuverlas- 
siger Zugriffsschutz gegen unberechtigte Benutzung, eine 
angemessene Behandlung von Hardwarestorungen, bei- 35 
spiels weise Verbindungsabbriichen, und die Moglichkeit, 
den Ablauf eines Progranuns interaktiv zu beeinflussen. 

Die Erfindung hat demgemaB die Aufgabe, die genannten 
Probleme zu losen und eine Vorrichtung, ein System und ein 
Verfahren bereit zustellen, um eine Benutzeroberflache mit 40 
sicherheitsrelevanten oder interaktiven Funktionen flexibel 
und mil geringem Programmieraufwand zu realisieren. Ins- 
besondere sollen moglichst weitgehend Standardmodule 
eingesetzt werden konnen. 

Erfindung sgemaB wird diese Aufgabe durch eine Vorrich- 45 
tung, ein System und ein Verfahren nach den An sprue hen 1 , 
10 beziehungs weise 12 gelost. Die erfindungsgemaBe Vor- 
richtung umfaBt dabei die serverseitigen Komponenten des 
Systems, an die ein bekannter Browser anschlieBbar ist. 

Die Erfindung beruht auf der Crundidee, ein zentrales 50 
Uberwachungsmodul ("Watchdog") auf der Serverseite vor- 
zusehen, das von alien wesentlichen Vorgangen im System 
unterrichtet wird und in Zusammenwirken mit dem Browser 
und weiteren Systemkomponenten die gewiinschten Funk- 
tionen realisiert. 55 

Durch die Erfindung wird es moglich, die oben beschrie- 
bene Technik der Implementierung einer Benutzeroberfla- 
che durch HTML-I>okumente auch fiir komplexe Cerate 
einzusetzen, bei denen sicherheitsrelevante oder interaktive 
Funktionen erforderlich sind. Die Erfindung ist fur alle Ar- 60 
ten von Ceraten einsetzbar. 

Weil fiir HTML-Dokumenle komfortable Entwicklungs- 
werkzeuge existieren, kann die Benutzeroberflache von dem 
Designer direkt als HTML-Dokument entworfen und bei 
Bedarf flexibel geandert werden. Der bisher erforderliche 65 
Schritt des Programmierens der Benutzeroberflache entfallt. 

Der Datenaustausch zwischen dem Server und dem 
Browser ist Ciber eine Schniltstelle auf vielerlei Arten mog- 



lich. Der Browser kann lokal, beispielsweise iiber ein Ver- 
bindungskabel, an das Cerat angeschlossen sein. Im Ex- 
tremfall laufen der Server und der Browser als zwei Pro- 
zesse auf einem einzigen Rechner. Auch eine nicht-lokale 
Verbindung (beispielsweise eine Modemverbindung) ist 
ohne individuellen Programmieraufwand moglich, weil 
WWW-Server und WWW-Browser schon von vomherein 
fiir einen Client-Server-Betrieb ausgelegt sind. 

Die Erfindung weist bevorzugt einen oder mehrere der 
folgenden drei Aspekte auf, die nicht notwendigerweise an 
die erfindungsgemaBe Systemstruktur gebunden sind: 

1. Zugriffskontrolle auf die einzelnen Ceratefunktio- 
nen, 

2. Erkennen von Verbindungsabbriichen, und 

3. Bereitstellen interaktiver Funktionen. 

Zur ZugriffskontroDe sind vorzugsweise serverseitige 
Komponenten des Systems dazu eingerichtet, eine Authenti- 
fizierung der Berechtigung eines Benutzers durchzufiihren. . 
Dazu gibt der Benutzer seinen Benutzemamen und ein 
Kennwort ein. Erst bei erfolgreicher Authentifizierung er- 
halt der Benutzer Zugriff auf die Bedienoberflache. 

Vorzugsweise konnen unterschiedlichen Benutzem unter- 
schiedliche Zugriffsberechtigungsstufen zugeordnet .wer- 
den, so daB beispielsweise bestimmte Funktionen nur von 
besonders autorisierten Benutzem ausfuhrbar sind. Auch 
kann das zu bedienende Cerat auf unterschiedliche Freiga- 
bestufen einstellbar sein. Vorzugsweise werden die dem Be- 
nutzer angezeigten HTML-Seiten an dessen Zugriflfsberech- 
tigung dynamisch angepaBt. 

Das Erkennen von Verbindungsabbriichen erfolgt vor- 
zugsweise dadurch, da8 das laufende Eintreffen peri- 
odischer, vom Browser gesendeter Nachrichten ("Ping- 
Nachrichten") iiberwacht wird. Bleiben die Ping-Nachrich- 
ten aus, so werden vorzugsweise alle laufenden Prozesse ab- 
gebrochen. 

Interaktive Funktionen, wozu insbesondere die Moglich- 
keit gehort, laufende Prozesse jederzeit und mit geringer 
Verzogerung abbrechen zu konnen, werden vorzugsweise 
dadurch bereitgestellt, daB iiber das Uberwachungsmodul 
eine inieraktiv-bidirektionale Verbindung zwischen der Be- 
nutzeroberflache und dem laufenden ProzeB aufrechterhal- 
ten wird. 

Zwar werden bevorzugt HTML-Dokumente zur Imple- 
mentierung der Benutzeroberflache verwendet; es sind je- 
doch auch andere Seitenbeschreibungssprachen einsetzbar. 
Ebenso konnen statt bekannter WWW-Server und WWW- 
Browser andere Server und Browser benutzt werden. Der 
Ser\'er starlet Programme vorzugsweise iiber eine CCI- 
Schnittsteile (CCI = Common Cateway Interface; Standard- 
schnittstelie bei WWW-Servem zum Aufruf externer Pro- 
gramme) oder auf eine andere geeignete Art. 

Das erfindungsgemaBe Verfahren beruht auf dem Crund- 
prinzip, ein durch den Server aufgerufenes Progranam vor- 
zusehen, das Daten mit dem Uberwachungsmodul aus- 
tauscht und dann eine gewiinschte Aktion ausfiihrt. Damit 
lassen sich die oben genannten Funktionen mit geringem 
Programmieraufwand erzielen. 

Weitere bevorzugte Ausgestaltungen der Erfindung sind 
in den ubrigen Unteranspriichen definiert. 

Unter Hinweis auf die Zeichnungen wird nun ein Ausftih- 
rungsbeispiel der Erfindung beschrieben, das von den Erfin- 
dem gegenwartig als der beste Weg erachtet wird, die Erfin- 
dung auszufiihren. Es handelt sich dabei um ein Wartungs- 
system fiir ein medizinisches Cerat. Es zeigen: 

Fig. 1 ein Daten fluBdiagramm des erfindungsgemaBen 
Systems, 
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Fig. 2 ein Zustandsubergangsdiagramm eines typischen 
Ablaufs des erfindungsgemaBen Systems, und 

Fig. 3 und Fig. 4 DatehfluBdiagramme beim Stanen und 
Abbrechen eines Wartungsprogramnns. 

In Fig. 1 sind unterhalb der gestiichelten Linie diejenigen 
' Komponenten des erfindungsgemaBen Systems daigestellt, 
die einem zentralen Hostrechner des zu bedienenden Cera- 
tes zugeordnet sind (serverseitige Komponenten). Ein 
WWW-Server 10 vermag Verbindungsprogramme 12 iiber 
eine CGI-SchnittsteUe aufzurufen. Die Verbindungspro- 
gramme 12 stanen ihrerseits Wartungsprogramme 14 und 
sind mit diesen wahrend des Programmablaufs iiber den 
EPC-Mechanismus (IPC = Inter-process Communication; 
Kommunikation zwischen Prozessen) verbunden. 

Jedes Wanungsprogramm 14 fuhrt eine oder mehrere 
Warlungsfunktionen aus und ruft Steuerprozesse 16 des zu 
bedienenden Cerates uber den RPC-Mechanismus (RPC = 
Remote Procedure Call; nicht-lokaler Prozeduraufruf) auf. 
Die Steuerprozesse 16 sind Teile der Steuerung des zu be- 
dienenden Cerates; sie dienen beispielsweise zum Durch- 
fiihren von Messungen an Hardwarebaugruppen. 

Der Server 10, die Wartungsprogramme 14 und die Steu- 
erprozesse 16 des zu bedienenden Cerates sind mit einer 
oder mehreren Datenbanken 18 verbunden, die globale 
Steuerdaten fur das zu bedienende Cerat, Wartungsergeb- 
nisse, Handbuchdateien und so weiter enthalten. 

Ein zentrales Uberwachungsmodul 20 weist ein Verzeich- 
nis 22 gegenwartig aktiver Programme (Verbindungspro- 
gramme 12, Wartungsprogranune 14 und sonstige Pro- 
gramme) auf und ist durch den IPC-Mechanismus mit den 
Verbindungsprogrammen 12 sowie mit. einem Siartpro- 
gramm 24, einem Autheniifizierungsprogramm 26, einem 
Ping-Programm 28 und einem Abbruchprogramm 30 ver- 
bunden. Die letztgenannten vier Programme werden ihrer- 
seits iiber die CGI-Schnittstelle des Servers 10 aufgerufen. 
Das Uberwachungsmodul 20 fiihrt im Zusammenspiel mit 
den CCI-Programmen 12, 24, 26, 28 und 30 und dem Server 
10 eine Vielzahl von Uberwachungs- und Verwaltungsauf- 
gaben aus, die unten genauer beschrieben werden. 

Eine Schnittstelle 32 verbindet den Server 10 mit einem 
www-Browser 40, der in Fig. 1 oberhalb der gestrichelten 
Linie gezeigt ist Die Verbindung zwischen dem Server 10 
und dem Browser 40 erfolgt iiber das HTTP-Protokoll 
(HTTP = Hypertext Transfer Protocol). In dem hier be- 
schriebenen Ausfuhrungsbeispiel ist der Browse 40 lokal 
dem zu bedienenden Cerat zugeordnet. In einer Ausfuh- 
rungsaltemative ist der Browser 40 auf einem extemen 
Rechner installiert, beispielsweise auf einem gebrauchli- 
Chen Notebook, das iiber eine PPP- Verbindung (PPP = 
Point-to-point Protocol) an den Server 10 angeschlossen ist. 
Ein. Schutz gegen fehlerhafte Ubertragung oder Manipula- 
tionen kann durch Priifsummen oder eine Verschliisselung 
der iibertragenen Daten erreicht werden. 

Der Browser 40, beispielsweise der unter der Marke 
"Netscape Navigator" bekannte, vermag ASCII- und 
HTML-Seiten anzuzeigen. Programme in JAVA und JA- 
VASCRIPT auszufiihren und Eingaben des Benutzers an 
den Server 10 zu iibermitteln. Als Hauptaufgabe stelll der 
Browser 40 durch Anzeigen einer speziellen HTML-War- 
tungsseite eine Benutzeroberflache fiir das zu bedienende 
Cerat zur Verfiigung. Uberdies sind iiber den Browser 40 
eine OnHne-Dokumentation sowie weitere Programme auf- 
rufbar. 

Die vom Browser 40 angezeigte HTML-Wartungsseite ist 
logisch unterieilt in ein en sichibaren Rah men (Frame) 42, 
einen dem Benuizer verborgenen, ersien statischen Rahmen 
44 und einen verborgenen, zweiten statischen Rahmen 46 
mit temporarem Inhalt. Die unsichibaren Rahmen 44 und 46 



enthalten Daten, JAVASCRIPT-Programme und JAVA- App- 
lets. 

Die HTML-Wartungsseite wird nur ein einziges Mai, 
namlich zu Beginn des Wartungsvorgangs, vollstandig in 

5 deri Browser 40 geladen. Spater werden lediglich der sicht- 
bare Rahmen 42 und der Inhalt des zweiten statischen tem- 
poraren Rahmens 46 iiberschrieben. Der statische Rahmen 
44 wird wahrend des Wartungsvorgangs nicht iiberschrie- 
ben, so daB die in ihm gespeicherten Daten erhalten bleiben. 

10 Die in dem sichtbaren Rahmen 42 angezeigten und in dem 
ersten . statischen Rahmen 44 gespeicherten Informationen 
konnen durch geeignete JAVASCJRJPT-Progranmie, JAVA- 
Applets Oder sonstige Mittel verandert werden. Der zweite 
statische Rahmen 46 wird geladen, um Variable und/oder 

15 Felder im ersten statischen Rahmen 44 und/oder im sichtba- 
ren Rahmen 42 zu andem. Vorzugsweise wird eine neue 
HTMI^Seite mit JAVA-Script-Programmen, JAVA-Applets 
oder sonstigen Mitteln in den zweiten statischen Rahmen 46 
geladen und automatisch zur Ausfiihrung gebracht. Die 

20 HTML-Seite wird vor allem auch von einem CCI-Pro- 
granmi dynamisch generiert, Der Vorteil des zweiten stati- 
schen Rahmens 46 besteht darin, daB zur Aktualisierung des 
sichtbaren Rahmens 42 und des ersten statischen Rahmens 
44 nicht die vollstandigen Rahmen 42, 44 vom Server 10 

25 iibertragen werden mussen,.sondem nur noch die Variablen 
darin gesetzt werden. Daraus ergeben sich schnellere Uber- 
tragungszeiten, da nur Anderungen iibertragen werden. Au- 
Berdem wird ein fiir den Benutzer storendes sichlbares 
Nachladen des sichtbaren Rahmens 42 vermieden. 

30 In dem statischen, verborgenen Rahmen 44 sind erstens 
haufig benotigte Hilfsprogramme gespeichert, die auf diese 
Weise nicht wiederholt geladen zu werden brauchen. Zwei- 
tens dient dieser Rahmen zum Speichem globaler Werte, die 
wahrend der gesamten Systemlaufzeit erhalten bleiben sol- 

35 len, beispielsweise eines wahrend des Startens des Systems 
an den Browser 40 iibertragenen, sitzungsabhangigen 
Schliissels. Dritiens enthalt dieser Rahmen einen Ping-Pro- 
zeB 48 als JAVASCRIPT-Programm oder JAVA- Applet, der 
periodische Ping-Meldungen an den Server 10 ausgibt. 

40 Diese Komponenten werden unten genauer beschrieben. 

Das in Fig. 2 gezeigte Zustandsubergangsdiagranun stellt 
die Zustande wahrend des Betriebs des beschriebenen Aus- 
fiihrungsbeispiels und die diese Zustande verbindenden Er- 
eignisse (Ubergange) dar. Beim Hochfahren des Systems 

45 werden zunachst der Server 10 und dann das Uberwa- 
chungsmodul 20 gestartet und somit der Zustand 50 durch- 
laufen und der Zustand 52 erreicht. Das Auftreten eines Feh- 
lers fiihrt zu einem Fehlerzustand 54, der durch ein manuel- 
les Riicksetzen wieder verlassen werden kann. 

50 Auf einen Befehl des Benutzers zum Starten der Benutz- 
eroberflache wird der Browser 40 aufgerufen (Zustand 56), 
der eine entsprechende Nachricht iiber die Schnittstelle 32 
an den Server 10 sendet. Der Server 10 ruft daraufhin das 
Startprogramm 24 auf, das seinerseits iiber IPC das Uberwa- 

55 chungsmodul 20 benachrichtigt. Da es sich bei dem hier ge- 
gebenen Beispiel um einen lokal angeschldssenen Browser 
40 handelt, muB die Authentifizierung des Benutzers noch 
erfolgen. Diese Information wird an den Server 10 zuriick- 
gegeben, der daraufhin eine allgemeine HTML-Startseite an 

60 den Browser 40 iibermittelt, die dem Benutzer angezeigl 
wird: 

Wenn der Benutzer von der allgemeinen HTML-Start- 
seite auf die Warlungsfunktionen des Systems zugreifen 
mochte, muB er zur Authentifizierung (Zustand 58) seinen 
65 Benutzemamen und ein Kennwort eingeben, Diese werden 
vom Browser 40 uber die Schnittstelle 32 an den Server 10 
und von dort an das Autheniifizierungsprogramm 26 iiber- 
mittelt. Letzteres iiberpriift, gegebenenfalls in Abslimmung 
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mit weiteren Programmen, die eingegebenen Aulhentifizie- 
rungsdaten nach einer \^elzahl von Kriterien. 

Es werden anlagenabhangige, variable Kennworter mit 
einslellbarer Giiltigkeitsdauer verwendet AuBerdem sind 
unterschiedlichen Benutzem unterschiedliche Zugriffsbe- 5 
rechdgungsstufen zugeordnet, so da6 bestimmte Funktionen 
nur von besonders autorisierten Benutzem aufgerufen wer- 
den kpnnen. Die fiir einen Benutzer moglichen Funktionen 
hangen uberdies von einer am zu bedienenden Gerat einge- 
stellten Freigabestufe ab, die jederzeit geandert werden 10 
kann. Das Uberwachungsmodul 20 hat Zugriff auf die je- 
weils aktuelle Freigabestufe. Beispielsweise konnen be- 
stimmte Wartungsfunktionen nur bei einem lokal ange- 
schlossenen Browser 40 freigegeben sein. 

Falls die Authentifizierung erfolgreich ist, ubermittelt der 15 
. Server 10 dem Browser 40 die HTML-Wartungsseite, durch 
die die Benutzeroberflache implementiert ist (Zustand 60). 
Ferner generiert das Uberwachungsmodul 20 einen sii- 
zungsabhangigen Schliissel, der auch die ermittelte Zu- 
griffsberechtigungsstufe anzeigt. Dieser Schliissel wird in 20 
Form eines JAVA-Scripts und evtl. eines JAVA-Applets in 
den temporaren Rahmen 46 geladen, wobei das JAVA-Script 
bzw. das JAVA-Applet seinerseits eine in dem statischen 
Rahmen 44 enthaltene Variable entsprechend setzt. 

Der Browser 40 braucht nicht lokal an den Server 10 an- 25 
geschlossen zu sein. Beispielsweise kann in einer Ausfiih- 
rungsaltemative die Kommunikation zwischen dem Server 
10 und dem Browser 40 iiber eine PPP-Modemverbindung 
erfoigen. Die Authentifizierung des Benutzers findet dann 
schon beim Aufbau der PPP-Verbindung statt, so daS zum 30 
Starten der Benutzeroberflache keine weitere Kennworiein- 
gabe erforderiich ist. Dies wird beim Starten des Browsers 
40 durch das Startprogramm 24 festgestellt, das dafiir sorgt, 
daB dem Browser 40 unraittelbar die HTML-Warlungsseite 
sowie der sitzungsabhangige Schliissel ubermittelt werden 35 
(Zustand 60). 

Der in dem statischen Rahmen 44 der HTML-Wartungs- 
seite gespeicherte Schliissel beeinfluBt den weiteren Ablauf 
des Wartungsvorgangs in mehrerlei Hinsicht. Zunachst kon- 
nen in den wahrend des weiteren Ablauf s vom Server 10 an 40 
den Browser 40 iibermittelten HTML-Dateien JAVAS- 
CRTPT-Programme oder JAVA-Applets enthalten sein, die 
die Gestaltung der dem Benutzer angezeigten Seiten in Ab- 
hangigkeit von der Zu griff sberechdgungsstufe verandem, 
Beispielsweise kann vorgesehen sein, daB nur bei bestimm- 45 
ten Zugriifsberechtigungsstufen einzelne Seiten in dem 
sichtbaren Rahmen 42 angezeigt werden oder einzelne 
Funktionen durch den Benutzer wahlbar sind. Uberdies wird 
der Schliissel wiederholt an den Server 10 iibertragen und 
dient dort als Kennwort. Das eigentliche Benutzerkennwort 50 
braucht daher nur einmal bei der Authentifizierung eingege- 
ben zu werden, auch wenn der Server 10 ofters ein Kenn- 
wort anfordert. Die serverseitigen Komponenten des Sy- 
stems verwenden den Schliissel ferner, um die an den 
Browser 40 iibertragenen HTML-Daten dynamisch an die 55 
Zugriffsberechiigung des Benutzers und an die augenblick- 
liche Freigabestufe des zu bedienenden Gerates anzupassen. 

Als nachster Schritt des Systemablaufs wird der mit dem 
statischen, verborgenen Rahmen 44 an den Browser 40 
iibertragene Ping-ProzeB 48 gestartet und somit der Zustand 60 
62 erreicht. Von nun an sendet der Ping-ProzeB 48 fortwah- 
rend in vorbestimmten Zeitabstanden Ping-Nachrichten 
iiber die Schnitts telle 32 an den Server 10. Jede erhaltene 
Ping-Nachrichl bewirkt einen Aufruf des Ping-Programms 
28 uber die CGI-Schnittstelle des Servers 10, das seinerseits 65 
eine entsprechende Meldung iiber IPC an das Uberwa- 
chungsmodul 20 sendet. Auf die Auswertung der empfange- 
nen Ping-Meldungen wird spater eingegangen. 



In dem zentralen Zustand 62 werden dem Benutzer in 
dem sichtbaren Rahmen 42 geeignete Informationen ange- 
zeigt und, je nach der Zugriffsberechtigungsstufe des Benut- 
zers und der Freigabestufe des zu bedienenden Gerates, Op- 
tionen zur Anwahl gegeben. 

Insbesondere kann der Benutzer durch Anwahl einer ent- 
sprechenden Option ein Wartungsprogramm 14 starten. Bei 
diesem in Fig. 3 genauer darges tell ten Vorgang sendet der 
Browser 40 eine geeignete Nachricht an den Server 10 (Da- 
tenstrom 80), wodurch ein Verbindungsprogramm 12 aufge- 
rufen wird (Datenstrom 82). Dieses fragt zunachst beim 
Uberwachungsmodul 20 an (Datenstrom 84), ob der Benut- 
zer die Berechtigung zum Ausfiihren des gewiinschten War- 
tungsprogramms 14 hat. Diese Berechtigung hangt von der 
Zugriffsberechtigungsstufe des Benutzers und von der Frei- 
gabestufe des zu bedienenden Gerates ab. 

Wenn der Benutzer berechtigt ist (Datenstrom 86), startet 
das Verbindungsprogramm 12 das gewahlte Wartungspro- 
gramm 14 (Datenstrom 88) und meldet dessen ProzeBbe- 
zeichner an das Uberwachungsmodul 20 (Datenstrom 90). 
Das Uberwachungsmodul 20 vermerkt diesen ProzeBbe- 
zeichner in dem Verzeichnis 22. Damit ist der in Fig. 2 ge- 
zeigte Zustand 64 erreicht. Allerdings sind in dem beschrie- 
benen Ausfiihrungsbeispiel die Zustande 62 und 64 nicht 
streng getrennt, denn es ist moglich, wie in Fig. 1 darge- 
stellt, mehrere Wartungsprogramme 14 zu starten und paral- 
lel oder quasi-paraUel ablaufen zu lassen. 

Endet das Wartungsprogranun 14, ohne daB der Benutzer 
einen Abbruchbefehl gegeben hat, dann wird dies an das 
Verbindungsprogramm 12 gemeldet (Datenstrom 92 in Fig. 
3). Der Endstatus des Wartungsprogramms 14 wird iiber den 
Ser\'er 10 an den Browser 40 weitergegeben (Datenstrome 
94 und 96). AuBerdem informiert das Verbindungspro- 
gramm 12 das Uberwachungsmodul 20 (Datenstrom 98), 
das den ProzeBbezeichner des beendeten Wartungspro- 
granuns 14 aus dem Verzeichnis 22 streicht. 

Neben dem gerade beschriebenen, durch das Wartungs- 
programm 14 selbst bewirkten Programmende kann der Be- 
nutzer durch Anwahlen einer in dem sichtbaren Fenster 42 
gezeigten Befehlsflache einen Befehl zum regularen Abbre- 
chen eines, einiger oder aller Wartungsprogramme 14 sowie 
der zugeordneten Verbindungsprogranune 12 geben ("abort- 
Befehl"). Die Programme werden dadurch "sauber" abge- 
schlossen und beendet. Dieser Vorgang ist in Fig. 4 genauer 
dargestellt. 

Wieder wird der vom Benutzer gegebene Abbruchbefehl 
an den Server 10, dann iiber die CGI-Schnittstelle an das 
Abbruchprogramm 30 und von dort an das Uberwachungs- 
modul 20 iibermittelt (Datenstrome 100, 102 und 104). Soil 
beispielsweise ein einziges Wartungsprogramm 14 abgebro- 
chen werden, so bestimmt das Uberwachungsmodul 20 des- 
sen ProzeBbezeichner sowie das zugehorige Verbindungs- 
progranun 12. Eine geeignete Abbruchanforderung. wird 
nun an dieses Verbindungsprogramm 12 und das Wartungs- 
programm 14 gesendet (Datenstrome 106 und 108). Damit 
ist der Zustand 66 in Fig. 2 erreicht. 

Wenn das Wartungsprogramm 14 auf die Abbruchanfor- 
derung korrekt reagiert, so beendet es sich und gegebenen- 
falls auch einen zugeordneten SteuerprozeB 16 und meldet 
dies an das Verbindungsprogramm 12 (Datenstrom 110), das 
seinerseits das Uberwachungsmodul 20 informiert (Daten- 
strom 112) und sich dann ebenfalls beendet. Ein Zeitfehler 
beim Abbrechen wird erkannt, wenn die Abbruchbest^ti- 
gung nicht innerhalb eines vorbestimmten Zeitraumes bei 
dem Uberwachungsmodul 20 eintrifft (Zustand 68 in Fig. 
2). In diesem Fall fiihrl das Uberwachungsmodul 20 einen 
erzwungenen Programmabbruch diirch, indem es einen ent- 
sprechenden Befehl ("kill' -Befehl) an das Verbindungspro- 
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gramm 12 und das Wartungsprogramm 14 sendet. 

Das Ergebnis des regularen oder erzwungenen Abbruchs 
wird vom Uberwachungsmodul 20 an das Abbruchpro- 
gramm 30, den Sender 10 und den Browser 40 gemeldet 
(Datenstrome 114, 116 und 118). Das Uberwachungsinodul 5 
20 Ipscht dabei das abgebrochene Programm aiis seinem 
Verzeichnis 22. 

Der hier am Beispiel eines Programmabbruchs darge- 
stellle Mechanismus kann allgemein verwendet werden, um 
laufenden Warlungsprogrammen 14 Eingabedaten zu iiber- 10 
mitteln und somit eine interaktive Bedienung eines Pro- 
gramms iiber einen Browser 40 zu erlauben. Grundprinzip 
ist es dabei, die Eingabedaten dem Uberwachungsmodul 20 
uber ein vom Server 10 aufgerufenes Programm, vorzugs- 
weise ein CGI-Programm, zuzuleiten. Letzteres stellt fest, 15 
fiir welches der gerade aktiven Programme die Eingabeda- 
ten bestimmt sind, und leitet sie, gegebenenfalls iiber ein 
diesem Progranun zugeordnet es Verbindungsprogramm, 
dorthin weiter. 

. Wahrend das Wartungssystem aktiv ist und der Ping-Pro- 20 
zeB 48 des Browsers 40 lauft, also in den in Fig. 2 gezeigten 
Zustanden 62 bis 68, iiberpriift das "Oberwachungsmodul 20 
laufend, ob die letzte eingegangene Ping-Meldung noch 
nicht langer als eine vorgegebene Zeitdauer zuruckliegt. Ein 
Ausbleiben der Ping-Meldungen bei dem Uberwachungs- 25 
modul 20 (Ping-Zeitfehler) zeigt eine Fehlfiinktion an, typi- 
scherweise einen Absturz eines Rechners, einen Programm- 
abbruch oder ein Zusammenbrechen der Kommunikations- 
verbindung zwischen dem Server 10 und dem Browser 40 
(Zustand70). ^ 30 

Wird ein Ping-Zeitfehler vom Uberwachungsmodul 20 
erkannt, so beendet dieses alle aktiven Verbindungspro- 
gramme 12 und Wartungsprogramme 14 auf die oben be- 
schriebene Weise, so als ob vom Benutzer ein Befehl fiir den 
regularen Abbruch aller aktiven Programme gegeben wor- 35 
den ware. Das System geht in den Zustand 52 iiber und war- 
tet auf einen neuen StarlbefdiL 

' Das Uberwachungsmodul 20 ist in deni beschriebenen 
System ein zentraler ProzeB, der Zugriff auf alle Informatio- 
nen iiber den gegenwartigen Systemzustand hat. Daher kann 40 
das Uberwachungsmodul 20 eine Reihe weiterer Aufgaben 
erfiillen. Beispielsweise kann sich die Freigabestufe des zu 
bedienenden Cerates wahrend des Wartungsvorgangs an- 
dem. Das Uberwachungsmodul 20 entscheidet daraufhin, 
welche der gerade aktiven Wartungsprogranmie 14 weiter- 45 
hin ausgefuhrt werden durfen. Gegebenenfalls bricht das 
Uberwachungsmodul 20 die nicht langer ablaufberechtigien 
Wartungsprogramme 14 auf die oben dargestellte Weise ab. 

Das erfindungsgemaBe System, das in dem hier beschrie- 
benen Ausfiihrungsbeispiel als Wartungssystem fiir ein me- 50 
dizinisches Gerat vorgesehen ist, ist ebenso zur Steuerung, 
Einstellung, Wartung, Anpassung oder Uberwachung aller 
Arten von technischen Geraten einsetzbar. Zur Verbindung 
zwischen dem Server 10 und dem Browser 40 konnen alle 
geeigneten Kommunikationsmittel, beispielsweise auch das 55 
Internet oder ein Intranet, eingesetzt werden. 

Patentanspriiche 

1. Vorrichtung zum Bedienen eines Geraies, mit 60 

- einem Server (10), der dazu eingerichtet ist, 
Daten an einen anschlieBbaren Browser (40) zu 
senden und von diesem zu empfangen, 

- einem Uberwachungsmodul (20), 

- Mitteln (24, 26, 28, 30) zur Kommunikation 65 
zwischen dem Server (10) und dem Uberwa- 
chungsmodul (20), 

- mehreren Steuer-, Wartungs- und/oderUberwa- 
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chungsprogrammen (14, 16), und 
- Mitteln (12) zur Kommunikation zwischen den 
Steuer-, Wartungs- und/oder Uberwachungspro- 
grammen (14, 16) einerseits sowie dem Server 
(10) und/oder dem Uberwachungsmodul (20) an- 
dererseits. 

2. Vorrichtung nach Anspruch 1, dadurch gekenn- 
zeichnet, daB das Uberwachungsmodul (20) dazu ein- 
gerichtet ist, ein Verzeichnis (22) der jeweils aktiven 
Steuer-, Wartungs- und/oder Uberwachungspro- 
gramme (14, 16) zu speichern und laufend zu aktuali- 
sieren. 

3. Vorrichtung nach Anspruch 1 oder 2, dadurch ge- 
kennzeichnet, daB das Uberwachungsmodul (20) und/ 
Oder ein vom Server (10) aufgerufenes Authenlifizie- 
rungsprogramm (26) dazu eingerichtet ist/sind, eine 
Authentifizierung (58) eines Benutzers durchzufuhren. 

4. Vorrichtung nach einem der Anspriiche 1 bis 3, da- 
durch gekennzeichnet, daB. ein vom Server (10) aufge- 
rufenes Verbindungsprogramm (12) dazu eingerichtet 
ist, bei dem Uberwachungsmodul (20) eine Anfrage 
hinsichtlich der Berechtigung eines Benutzers zum 
Starten eines der Steuer-, Wartungs- und/oder Uberwa- 
chungsprogramme (14, 16) durchzufuhren und gegebe- 
nenfalls dieses Steuer-, Wartungs- und/oder Uberwa- 
chung sprogramm (14, 16) zu starten. 

5. Vorrichtung nach einem der Anspriiche 1 bis 4, da- 
durch gekennzeichnet, daB das Uberwachungsmodul 
(20) und/oder ein vom Server (10) aufgerufenes Ping- 
Program m (28) dazu eingerichtet ist/sind, das Ausblei- 
ben periodischer, vom Server (10) empfangener Ping- 
Nachrichten festzustellen und daraufhin zu veranlas- 
sen, daB alle aktiven Steuer-, Wartungs- und/oder 
Uberwachungsprogramme (14, 16) abgebrochen wer- 
den. 

6. Vorrichtung nach einem der Anspriiche 1 bis 5, da- 
durch gekennzeichnet, dafi das Uberwachungsmodul 
(20) und/oder ein vom Server (10) aufgerufenes Ab- 
bruchprogramm (30) dazu eingerichtet ist/sind, als Re- 
aktion auf eine vom Ser\'er (10) empfangene Abbruch- 
nachricht zu veranlassen, daB mindestens eines der 
Steuer-, Wartungs- und/oder Uberwachungspro- 
gramme (14, 16) sowie gegebenenfalls ein zugeordne- 
tes Verbindungsprogramm (12) abgebrochen wird. 

7. Vorrichtung nach einem der Anspriiche 1 bis 6, da- 
durch gekennzeichnet, daB das Uberwachungsmodul 
(20) und/oder ein vom Server (10) aufgerufenes Pro- 
gramm dazu eingerichtet ist/sind, eine vom Server (10) 
empfangene Nachricht an ein zugeordnetes Steuer-, 
Wartungs- und/oder Uberwachungsprogranun (14, 16) 
weiterzuleiten. 

8. Vorrichtung nach einem der Anspriiche 1 bis 7, da- 
durch gekennzeichnet, daB die vom Server (10) aufge- 
rufenen Programme (12, 24, 26, 28, 30) CGI-Pro- 
gramme sind. 

9. Vorrichtung nach einem der Anspriiche 1 bis 8, da- 
durch gekennzeichnet, daB die vom Server (10) iiber 
die Schnittstelle (32) gesendeten und empfangenen Da- 
ten HTML-Daten sind. 

10. System zum Bedienen eines Geraies, mit einer 
Vorrichtung nach einem der Anspriiche 1 bis 9 und ei- 
nem an den Ser\'er (10) iiber eine Schnittstelle (32) an- 
geschlossenen Browser (40), der eine Benutzeroberfla- 
che bereitslellt. 

11. System nach Anspruch 10, dadurch gekennzeich- 
net, daB der Browser (40) dazu eingerichtet ist, einen 
Ping-ProzeB (48) auszufiihren, der periodisch eine 
Ping-Nachricht an den Server (10) sendet. 
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12. Verfahren zum Bedienen eines Cerates, mit den 
Schritten: 

a) Empfangen . einer von einem Browser (40) 
stammenden Nachricht durch einen Server (10), 

b) Aufruf eines Programms (12, 24, 26, 28, 30) 5 
durch den Server (10), 

c) Konimunikation des vom Server (10) aufgeru- 
fenen Programms (12, 24, 26, 28, 30) mit einem 
Uberwachungsmodul (20), und 

d) Aufruf Oder Abbrechen eines Steuer-, War- 10 
tungs- und/oder Oberwachungsprogramms (14, 
16) durch das vom Server (10) aufgerufene Pro- 
gramm (12, 24, 26, 28, 30) oder das Uberwa- . 
chungsmodul (20), . 

13. Verfahren nach Anspruch 12, mit dem weiteren 15. 
Schriit: 

e) Aktualisieren eines Verzeichnisses (22) der ak- 
tiven Steuer-, Wartungs- und/oder Uberwa- 
chungsprogramme (14, 16) durch das tjberwa- 
chungsmodul (20). 20 
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